Безопасность и комплаенс
Серверы и сети, выделенные одному арендатору, доступ с аудитом, площадки, которые предъявляют подтверждающие документы, и проверка клиентов по правилам Канады и США. На этой странице описан каждый из этих пунктов, а также наш статус в части сертификации.
Наш подход к безопасности и комплаенсу GPU-облака начинается с изоляции: арендуемые вами серверы используете только вы, а в кластерах HGX B300 это относится и к сетям. Вокруг этого выстроено всё остальное: площадки, которые мы выбираем, то, как контролируется и фиксируется доступ к вашему оборудованию, и то, кого мы принимаем в качестве клиентов.
Выделенное оборудование и сети
Каждый сдаваемый нами сервер обслуживает одного арендатора: на нём не работает никакой другой клиент, и между вашим ПО и GPU нет гипервизора.
Серверы для одного арендатора
Вы арендуете серверы целиком. Они никогда не делятся между клиентами и не используются совместно через виртуализацию.
Выделенная фабрика
В кластерах HGX B300 фабрика east-west между вашими GPU выделена только вам, как и сеть north-south.
Собственные адреса
В кластерах HGX B300 используются выделенные публичные адреса сервисов и выделенные адреса SNAT, поэтому с ваших IP-адресов не уходит трафик других клиентов.
Выделенная фабрика означает, что трафик между вашими GPU никогда не проходит через один коммутатор с трафиком другого клиента. Выделенные адреса означают, что партнёр, который вносит ваши IP-адреса в список разрешённых, разрешает доступ только вам.
В кластерах HGX B300, построенных по нашей спецификации поставки, внешняя сеть добавляет следующие меры защиты:
- Очистка трафика от DDoS. Очистка от объёмных атак уровней 3 и 4 силами признанного провайдера, включается через BGP в течение 5 минут, ёмкость не менее 1 Тбит/с.
- Пограничные ACL. Списки контроля доступа настраиваются по вашим правилам, изменения вносятся в течение одного рабочего дня.
- Безопасность маршрутизации. Аутентификация сессий BGP и соблюдение ваших RPKI ROA, когда внешняя сеть анонсирует ваше собственное IP-пространство.
- Зашифрованные накопители. Если вы выбираете узлы хранения для собственного ПО хранения данных, поддерживаются самошифрующиеся накопители.
Требования к площадкам
Прежде чем разместить кластер на площадке, мы запрашиваем у неё подтверждения того, как она построена и эксплуатируется, а не заявления.
Эти подтверждения принадлежат площадке, а не компании 1Legion. Мы запрашиваем их с регистрационными номерами и с возможностью передачи по NDA. Регистрационный номер позволяет проверить сертификат или отчёт в выдавшей его организации, чего не позволяет логотип на сайте.
| Подтверждающие документы | Что подтверждает |
|---|---|
| Проектная документация Tier III | Параллельно обслуживаемый проект: компоненты электропитания и охлаждения можно обслуживать без отключения ИТ-нагрузки |
| Точно указанная сертификация Uptime Institute | Какая именно сертификация Uptime Institute есть у площадки, поскольку проект и построенный объект сертифицируются отдельно |
| TIA-942 | Рейтинг площадки по стандарту инфраструктуры дата-центров ANSI/TIA-942 |
| EN 50600 | Соответствие европейской серии стандартов для объектов и инфраструктуры дата-центров |
| SOC 2 | Отчёт независимого аудитора о мерах контроля оператора |
| ISO 27001 | Система управления информационной безопасностью, прошедшая аудит на соответствие международному стандарту |
Мы также запрашиваем единую непрерывную площадь в отдельной клетке или выделенном зале, персонал на площадке в режиме 24/7, работающий ещё до запуска, и внеполосную сеть. Полный список требований приведён на странице «Дата-центры».
Контроль доступа
Доступ к вашему оборудованию контролируется и фиксируется: внеполосный доступ проходит аудит, а изменения вносятся по документированной процедуре управления изменениями.
- Внеполосный доступ. Канал управления к BMC сервера, работающий ниже уровня операционной системы, позволяет перезагрузить сервер по питанию, изменить его прошивку и открыть его консоль. Поэтому этот доступ проходит аудит.
- Управление изменениями. Изменения в вашем кластере проходят по документированному процессу, поэтому каждое из них оставляет запись.
- Реестр оборудования и обнаружение дрейфа. Эталонный реестр оборудования охватывает все стойки, узлы, GPU, сетевые адаптеры, накопители, коммутаторы, порты, трансиверы и кабели, а система обнаружения дрейфа отмечает любое отклонение от согласованной базовой конфигурации.
Эти меры контроля входят в наши письменные обязательства по эксплуатации наряду с реагированием на инциденты и обработкой аппаратных сбоев.
Подключение и проверка
Мы проверяем каждого клиента по правилам экспортного контроля и санкций Канады и США, а компания, которая будет использовать серверы, до подписания любого договора заполняет три формы для подключения.
Три формы для подключения
- Подключение клиента и проверка благонадёжности: сведения «знай своего клиента» (KYC), в том числе о бенефициарных владельцах, то есть о лицах, которые в конечном счёте владеют компанией или контролируют её.
- Экспортный контроль, санкции и сертификат конечного использования / конечного пользователя: подписанное заявление о том, для чего и кем будут использоваться серверы.
- Подтверждение ознакомления с Правилами допустимого использования: заявление клиента о том, что он прочитал наши Правила допустимого использования и принимает их.
Брокер может передать формы, но подписывает их конечный пользователь, то есть компания, которая будет использовать серверы.
Правила проверки
Мы проверяем каждого клиента по правилам Канады и США, в том числе с учётом того, где находится штаб-квартира конечной материнской компании.
- Где можно использовать наши серверы. Не допускаются доступ из Кубы, Ирана, Северной Кореи, Сирии, Крыма, Донецкой, Луганской, Херсонской и Запорожской областей, России или Беларуси и передача туда результатов.
- Лица под ограничениями. Не допускаются лица из списка особо обозначенных лиц (SDN) OFAC, списка Entity List BIS, списков Denied Persons или Unverified, а также из канадских санкционных списков SEMA или ООН. Мы применяем правило 50 процентов: компания, на 50 процентов или более принадлежащая лицам из этих списков, рассматривается как включённая в список.
- Материнская компания. Мы не принимаем клиентов, чья конечная материнская компания имеет штаб-квартиру в Китае, Гонконге, Макао, России или в юрисдикции под эмбарго. Правило проверяет цепочку владения до конечной материнской компании, поэтому действует, даже если компания, заключающая договор, зарегистрирована в другой юрисдикции.
Наш статус сертификации
Мы работаем над соответствием требованиям SOC 2 и ISO 27001. Наша текущая документация по безопасности доступна по NDA.
Подтверждения SOC 2 и ISO 27001, описанные выше, мы запрашиваем у площадок; это не заявление о компании 1Legion. Чтобы запросить нашу документацию, свяжитесь с нами.
Допустимое использование
Каждый клиент до подписания договора подтверждает ознакомление с нашими Правилами допустимого использования, а в Правилах указано, для чего наши серверы использовать нельзя.
Правила включают требования экспортного контроля и санкций, приведённые на этой странице, и объясняют, как мы обеспечиваем их соблюдение. Прочитайте полный текст Правил допустимого использования, а о том, какое место подключение занимает в процессе заключения договора, читайте на странице «Как заказать».
Вопросы заказчиков
Каков ваш статус по SOC 2 и ISO 27001?
Мы работаем над соответствием требованиям SOC 2 и ISO 27001. Наша текущая документация по безопасности доступна по NDA.
Используется ли наше оборудование совместно с другими клиентами?
Нет. Вы арендуете серверы целиком, без гипервизора, и ими не пользуется ни один другой клиент. В кластерах HGX B300 фабрика east-west и сеть north-south также выделены только вам.
Какие страны и регионы исключены?
Не допускаются доступ из Кубы, Ирана, Северной Кореи, Сирии, Крыма, Донецкой, Луганской, Херсонской и Запорожской областей, России или Беларуси и передача туда результатов.
Принимаете ли вы клиентов, чья материнская компания находится в Китае?
Нет. Мы не принимаем клиентов, чья конечная материнская компания имеет штаб-квартиру в Китае, Гонконге, Макао, России или в юрисдикции под эмбарго.
Может ли брокер заполнить формы для подключения за нас?
Брокер может передать формы, но заполняет и подписывает их компания, которая будет использовать серверы.
Какие сертификаты площадок вы запрашиваете?
Проектную документацию Tier III, точно указанную сертификацию Uptime Institute, TIA-942, EN 50600, SOC 2 и ISO 27001 с регистрационными номерами и с возможностью передачи по NDA. Эти документы принадлежат площадке, а не компании 1Legion.
Запросите нашу документацию по безопасности
Наша текущая документация по безопасности доступна по NDA.